保護個人身份信息從這里開始
數據泄露事件屢屢見諸報端，因此客戶和企業領導者都可能擔心他們的企業在客戶的個人身份信息 (PII) 保護方面做得不夠。在當今混亂的經濟環境中，威脅格局堪憂，企業可以采用哪些方法來更好地保護增加的 PII 數據流呢？
在一些情況下，企業無法正確地存儲數據。還有一些情況，企業沒有采取充分的措施。數據泄露的后果遠遠不止金錢損失。數據泄露對組織聲譽和客戶信心的損害還可能會損害企業利潤。更復雜的是，許多組織經常會出于營銷或其他目的與其他公司共享用戶數據，進而引發更多 PII 泄露的“完美風暴”。
為什么如此難以保護 PII 的安全？
PII 是指可用于識別特定個人的任何數據。常見的 PII 數據包括電話號碼、社保編號、郵箱地址和家庭住址。隨著技術的采用，PII 的范圍已大幅擴展，包括登錄 ID、IP 地址、數字圖像等，甚至包括社交媒體貼文。生物特征識別數據、行為數據和地理位置數據等其他數據也可以歸類為 PII。
無論您的組織屬于哪個行業，即便不屬于醫療保健和金融行業，保護客戶 PII 的安全都至關重要。那么，企業應如何存儲私有數據？
密碼相關問題
在與安全專家 Frank Abagnale 交談時，他給出的建議是：用戶名+密碼的身份驗證方法已經過時，這也是造成安全泄露事件的最大因素。隨著復雜性層次的增加，用戶只會感到沮喪和不滿。
Abagnale 建議舍棄將密碼作為安全機制的做法，來加強身份識別和訪問管理（IAM）。類似借助安全哈希算法和其他加密技術來存儲密碼的風險減緩解決方案，在短期內可能會有所幫助。但您依然很容易遭受暴力破解、字典攻擊和彩虹攻擊等類型的攻擊。此外，在使用密碼訪問 PII 時，您的公司依然很容易遭受網絡釣魚電子郵件的攻擊。
未來，PII 保護可能會受益于當前在用戶手機上執行身份驗證所用的類似技術，比如在手機上部署加密密鑰。
PII 保護最佳實踐
密碼和身份驗證方法在短時期內不會有太大改變。在業務部門做好迎接劇烈的思維轉變、適應新做法的準備之前，我們仍舊需要充分發掘現有資源的潛力。
對于希望高效保護 PII 安全的企業而言，可以采取以下六個步驟：
1. 識別保護對象及其存儲位置
保護 PII 安全的第一步是要充分了解要收集的 PII 以及它們的存儲位置。您還應確定數據是否得到了正確收集，以及是否采取了適當的安全措施。
不同的行業需要遵守有關如何治理 PII 收集、存儲、處理和傳輸的特定合規性法律和法規。這些法規也可能與客戶數據或其存儲位置有關，而不是特定于您的行業。
· 醫療保險可攜性和責任法案 (HIPAA)
· 個人信息保護和電子文檔法案 (PIPEDA)
· 支付卡行業數據安全標準 (PCI DSS)
· 為確保監管合規而采取的措施
· 在不受監管的 PII 方面存在著哪些聲譽、運營和安全風險？
· 從最可能發生到最不可能發生的威脅源列表
· 風險管理戰略
存儲業務不需要的 PII 可能會帶來安全風險。因此，您需要投入時間搜索這些數據并確定應從中刪除的內容。
· 不再與您有業務往來的客戶相關數據
· 已過期的員工記錄（即那些已從公司離職超過一年的員工相關記錄）
· 在未使用的設備上發現的 PII
PII 會具有不同級別的敏感性。舉例來說，信用卡數據比電子郵件列表更加敏感。因此，按照數據對機密性和隱私的影響對數據進行分類是保護 PII 的關鍵步驟之一。
千萬不要忽視對組織的安全計劃進行頻繁審核。這類實踐應包括對 PII 保護工具和解決方案進行分析。在數據隱私法律更新時，您的策略也可能需要更新來體現這些變化。安全策略應將來自國家技術研究所 (NIST) 框架、系統組織控制 (SOC) 2 或互聯網安全中心 (CIS) 控制等可信框架的最佳安全控制實踐納入其中。最后，您的策略應通過單獨的章節來明確定義 PII 相關安全意識培訓。
歷史精彩文章推薦 >>>
關于 IBM Security >>>
IBM Security 是 IBM 的信息安全解決方案及服務部門，具有多年深耕全球和本地各行各業客戶的經驗。IBM Security 在全球守護95%的全球五百強企業和組織的信息安全，客戶覆蓋金融、醫療、汽車、科技、電信、航空等行業公司及集團，包括50家全球最大的金融和銀行機構中的49家、15家最大的醫療機構中的14家，15家全球最大科技企業中的14家等。IBM Security 在 Gartner、Forrester、IDC 和其他機構發布的12份不同的分析報告中，有12項技術解決方案被列為領導者，在產業中躋身首列。
